TruSTAR

במסמך הזה מוסבר איך לשלב את TruSTAR עם Google SecOps.

תרחישים לדוגמה

ביצוע פעולות להעשרת הנתונים.

הגדרת שילוב של TruSTAR ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
ספריית הבסיס של ה-API String https://api.trustar.co כן TruSTAR API root
מפתח API String לא רלוונטי כן מפתח TruSTAR API
API Secret סיסמה כן TruSTAR API secret
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, המערכת בודקת שאישור ה-SSL של החיבור לשרת TruSTAR תקף.

איפה אפשר למצוא את טוקן ה-API ואת API Secret

  1. עוברים אל https://station.trustar.co/settings/api
  2. מעתיקים את הערכים של 'מזהה לקוח' ו'סוד הלקוח' ומזינים אותם בהגדרות השילוב.
  3. מריצים את הבדיקה.

פעולות

פינג

תיאור

בודקים את הקישוריות ל-TruSTAR באמצעות הפרמטרים שמופיעים בדף ההגדרות של השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:
אם הפעולה הצליחה: "Successfully connected to the TruSTAR server with the provided connection parameters!"

הפעולה אמורה להיכשל ולהפסיק את ההרצה של playbook:
אם הפעולה לא מצליחה: 'החיבור לשרת TruSTAR נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

העשרת ישויות

תיאור

העשרת ישויות באמצעות מידע מ-TruSTAR. ישויות נתמכות: כולן.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף רמת האבטחה DDL

נמוכה

ערכי ברירת מחדל:

שפיר

נמוכה

בינונית

גבוהה

 כן מציינים מה צריכה להיות רמת האבטחה הכי נמוכה כדי שהישות תסומן כחשודה.
Enclave Filter CSV לא מציינים רשימה מופרדת בפסיקים של שמות של מובלעות שבהן צריך להשתמש במהלך ההעשרה.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "indicatorType": "URL",
    "value": "http://esmne052.top/downfiles/lv.exe",
    "correlationCount": 0,
    "priorityLevel": "NOT_FOUND",
    "noteCount": 0,
    "sightings": 3,
    "firstSeen": 1617901588427,
    "lastSeen": 1617923344643,
    "enclaveIds": [
        "b850e851-27e3-4cc2-9269-69ac0aad63b1",
        "85313bc9-deb4-4022-ac03-923adcee9298",
        "cf777992-5dde-4d08-aef2-5e7c13951f54"
    ],
    "tags": [
        {
            "guid": "385a631d-fe0a-4657-ab4b-b201d48bf58c",
            "name": "api-tag",
            "enclaveId": "85313bc9-deb4-4022-ac03-923adcee9298"
        }
    ],
    "source": "",
    "notes": [],
    "guid": "URL|http://esmne052.top/downfiles/lv.exe",
    "summaries": [
        {
            "reportId": "970da023-e974-4223-80be-4b83c85583d9",
            "updated": 1617900133000,
            "enclaveId": "cf777992-5dde-4d08-aef2-5e7c13951f54",
            "source": {
                "key": "virustotal",
                "name": "VirusTotal"
            },
            "type": "URL",
            "value": "http://esmne052.top/downfiles/lv.exe",
            "score": {
                "name": "Positives/Total Scans",
                "value": "12/85"
            },
            "attributes": [
                {
                    "name": "Scan Date",
                    "value": 1617900133000
                },
                {
                    "name": "Websites with Positive Detections",
                    "value": [
                        "AegisLab WebGuard",
                        "AlienVault",
                        "CRDF",
                        "ESET",
                        "Emsisoft",
                        "Fortinet",
                        "G-Data",
                        "Kaspersky",
                        "Spamhaus",
                        "URLhaus",
                        "VX Vault",
                        "benkow.cc"
                    ]
                }
            ],
            "severityLevel": 1
        },
    ]
}
העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
תצפיות כשהנתונים זמינים בפורמט JSON
first_seen כשהנתונים זמינים בפורמט JSON
last_seen כשהנתונים זמינים בפורמט JSON
תגים כשהנתונים זמינים בפורמט JSON
מקור כשהנתונים זמינים בפורמט JSON
security_level כשהנתונים זמינים בפורמט JSON
report_link כשהנתונים זמינים בפורמט JSON
Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק:
if enriched some(is_success = true): "Successfully enriched the following entities using TruSTAR:\n".format(entity.identifier)

אם לא בוצע обогащение של חלק מהישויות (is_success = true): "Action wasn't able to enrich the following entities using TruSTAR:\n".format(entity.identifier)

אם לא בוצע обогащение לכל הישויות (is_success = false): 'No entities were enriched'.

הפעולה תיכשל ותפסיק את ההרצה של תוכנית הפעולה:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)

אם לא נמצאה אחת מהמובלעות: "שגיאה בהרצת הפעולה 'העשרת ישויות'. סיבה: לא נמצאו המובלעות הבאות: {0}. צריך לבדוק את האיות או להשתמש בפעולה 'List Enclaves' כדי למצוא את האנקלייבים התקינים.''.format(enclave names)

 כללי
טבלת ישויות אותן עמודות כמו בטבלת ההעשרה, אבל בלי קידומת. ישות

תיאור

קבלת מידע על אינדיקטורים של פריצות (IOC) שקשורים לישויות שצוינו. ישויות נתמכות: הכול.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר מקסימלי של IOC להחזרה מספר שלם 50 לא מציינים כמה אינדיקטורים של פריצה להחזיר. ברירת מחדל: 50. מקסימום: 1,000.
Enclave Filter CSV לא מציינים רשימה מופרדת בפסיקים של שמות של מובלעות שבהן צריך להשתמש במהלך ההעשרה.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "{indicatorType_1}": ["{value_1}"],
    "{indicatorType_2}": ["{value_2}"]
}
Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של ספר ההפעלה:
אם נמצא לפחות IOC אחד(is_success = true): 'הוחזרו בהצלחה IOCs קשורים לישויות שסופקו ב-TruSTAR'.

אם לא נמצאו אינדיקטורים של פריצות(is_success=false) "לא נמצאו אינדיקטורים קשורים של פריצות לישויות שסופקו ב-TruSTAR".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של playbook:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Get Related IOCs". Reason: {0}''.format(error.Stacktrace)

אם התגובה היא לא 200: "שגיאה בהפעלת הפעולה 'קבלת אינדיקטורים קשורים לפשרה'. הסיבה: {0}''.format(message)

אם לא נמצאה אחת מהמובלעות: "שגיאה בהפעלת הפעולה 'קבלת IOCs קשורים'. סיבה: לא נמצאו המובלעות הבאות: {0}. צריך לבדוק את האיות או להשתמש בפעולה 'List Enclaves' כדי למצוא את האנקלייבים התקינים.''.format(enclave names)

 כללי

טבלה של Case Wall

שם: נתונים סטטיסטיים

עמודות:

סוג

ספירה

כללי

תיאור

קבלת מידע על דוחות שקשורים לישויות. ישויות נתמכות: כולן.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
יצירת תובנה תיבת סימון כן לא אם האפשרות הזו מופעלת, הפעולה תיצור תובנה שמכילה מידע על דוחות שקשורים לישויות.
הכללת גוף הדוח בתובנה תיבת סימון לא לא אם האפשרות הזו מופעלת, התובנה תכיל מידע על גוף הדוח. הערה: גודל הגוף של הדוח יכול להיות גדול מאוד.
Enclave Filter CSV לא מציינים רשימה מופרדת בפסיקים של שמות של מובלעות שבהן צריך להשתמש במהלך ההעשרה.
המספר המקסימלי של דוחות להחזרה מספר שלם לא מציינים כמה דוחות להחזיר. ברירת מחדל: 10. מקסימום: 25.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "id": "b8decde8-a68e-4961-aa0b-e07474e394b0",
    "created": 1615928416710,
    "updated": 1615928416710,
    "title": "35201",
    "distributionType": "ENCLAVE",
    "submissionStatus": "PROCESSED",
    "timeBegan": 1615928416187,
    "reportBody": "Event # 1\n   Source IP: 4.2.2.2\n   Destination IP: 10.250.250.25\n   Raw Event: <114>Mar 16 22:04:21 SyslogAlertForwarder: |6863274412612564368|Signature|2021-03-16 22:04:20 GMT+02:00|\"DNS: Microsoft SMTP Service DNS resolver overflow\"|0x40302f00|High|ms-smtp-dns-resolver-overflow|Medium|My Company|BDCFailover|3A-3B|4.2.2.2|53|10.250.250.25|1027|Inbound|buffer-overflow",
    "externalTrackingId": "qradar-offence-35201",
    "enclaveIds": [
        "28177710-9cb8-aa2f-29e8-135c14365e80"
    ],
    "tags": [
        {
            "guid": "sense offense",
            "name": "sense offense",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "host logout",
            "name": "host logout",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "service stopped",
            "name": "service stopped",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "object access success",
            "name": "object access success",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "process creation success",
            "name": "process creation success",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "information",
            "name": "information",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "user privilege",
            "name": "user privilege",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        },
        {
            "guid": "user login failure",
            "name": "user login failure",
            "enclaveId": "28177710-9cb8-aa2f-29e8-135c14365e80"
        }
    ]
}
תובנות לגבי ישויות

דוגמה לתובנה &#39;דוחות קשורים&#39;

Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של תוכנית הפעולה:
אם נמצא דוח אחד (is_success = true): "Successfully returned related reports for the provided entities in TruSTAR".

אם לא נמצאו דוחות (is_success=false) "לא נמצאו דוחות קשורים ב-TruSTAR"

הפעולה אמורה להיכשל ולהפסיק את ההרצה של Playbook:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "שגיאה בהרצת הפעולה 'קבלת דוחות קשורים'". הסיבה: {0}''.format(error.Stacktrace)

אם לא מתקבלת תגובה מסוג 200: "שגיאה בהפעלת הפעולה 'קבלת דוחות שקשורים לדוחות האלה'". הסיבה: {0}''.format(message)

אם לא נמצאה אחת מהמובלעות: "שגיאה בהפעלת הפעולה 'קבלת דוחות קשורים'. סיבה: לא נמצאו המובלעות הבאות: {0}. צריך לבדוק את האיות או להשתמש בפעולה 'List Enclaves' כדי למצוא את האנקלייבים התקינים.''.format(enclave names)

 כללי
Case Wall

Title: Related Reports

עמודות:

כותרת

תגים

כללי

הצגת רשימה של מובלעות

תיאור

רשימת המובלעות הזמינות ב-TruSTAR.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
לוגיקת הסינון DDL

שווה

DDL

שווה

מכיל

 לא מציינים את לוגיקת הסינון שרוצים להחיל.
ערך המסנן String לא מציינים באיזה ערך להשתמש במסנן.
מספר מקסימלי של משאבי Enclave להחזרה מספר שלם 50 לא מציינים כמה מתחמי הפעלה מאובטחים רוצים להחזיר. ברירת מחדל: 50.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
[
    {
        "name": "COVID-19 OSINT Community Enclave",
        "templateName": "COVID-19",
        "workflowSupported": false,
        "read": true,
        "create": false,
        "update": false,
        "id": "b0a7be7b-a847-4597-9e1d-20ae18c344ea",
        "type": "OPEN"
    },
    {
        "name": "Hybrid Analysis Public Feed",
        "templateName": "Open Source",
        "workflowSupported": false,
        "read": true,
        "create": false,
        "update": false,
        "id": "2eeccced-c740-4ad9-aa5c-82744cd1f6aa",
        "type": "OPEN"
    }
]
Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:
אם נמצאת מובלעת אחת (is_success = true): 'Successfully returned available enclaves in TruSTAR'.

אם לא נמצאו מובלעות (is_success=false): "No related enclaves were found in TruSTAR"

הפעולה צריכה להיכשל ולהפסיק את ההרצה של תוכנית הפעולה:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: 'שגיאה בהרצת הפעולה List Enclaves'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
Case Wall

Title: Related Reports

עמודות:

שם

קריאה

יצירה

עדכון

מזהה

סוג

 כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.